Datenschutzerklärung

Stand: Juli 2026

learnly.school ist eine self-hosted Lernplattform. Wir erheben so wenig Daten wie möglich, betreiben die Plattform auf einem Server in Deutschland und setzen weder Werbung noch Tracking noch Analyse-Werkzeuge ein. Die Schriften werden lokal geladen (kein externer Font-Anbieter).

1. Verantwortlicher

2. Welche Daten wir verarbeiten und wozu

Konto und Anmeldung

Für Lehrkräfte verarbeiten wir E-Mail-Adresse und Namen. Die Anmeldung ist passwortlos: Die Lehrkraft erhält einen einmalig gültigen Anmeldelink per E-Mail (Magic-Link); wir speichern keine Passwörter. Schüler:innen werden von ihrer Lehrkraft angelegt und melden sich ohne E-Mail-Adresse mit einem Anmeldecode an (Ausweiskärtchen mit QR-Code); von ihnen verarbeiten wir den Namen und den zugehörigen, nur als Hashwert gespeicherten Anmeldecode. Die Authentifizierung erfolgt self-hosted über ein eigenes Token-Verfahren (JWT); es ist kein externer Auth-Anbieter eingebunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis) sowie lit. f (sicherer Betrieb); für die Verarbeitung von Schülerdaten zusätzlich die Verarbeitung im Auftrag der Schule (siehe Abschnitt 4).

Lerninhalte und Dateien

Von Lehrkräften angelegte Lernwege, Materialien, Lernkarten und hochgeladene Dateien werden auf unserem Server gespeichert (lokaler Datei-Storage, kein externer Cloud-Speicher), damit die Plattform funktioniert. Der Lernfortschritt von Schüler:innen (welche Aufgaben abgehakt sind) wird ebenfalls auf unserem Server gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Schülerdaten zusätzlich die Verarbeitung im Auftrag der Schule (siehe Abschnitt 4).

KI-Lernbegleiter (Chat)

Der digitale Lernweg enthält einen KI-Lernbegleiter, mit dem Schüler:innen chatten können. Dabei gelten mehrere Schutzvorkehrungen:

• Anonymisierung: Bevor eine Nachricht verarbeitet wird, ersetzen wir alle Namen (des Kindes, seiner Mitschüler:innen und der Lehrkräfte) durch neutrale Platzhalter. Klarnamen verlassen unser System nicht.
• Lokale Sicherheitsprüfung: Jede Nachricht des Kindes und jede Antwort wird zuerst von einem kleinen KI-Modell geprüft, das auf unserem eigenen Server läuft. Für diese Prüfung verlässt keine Nachricht unser System; als ungeeignet eingestufte Nachrichten werden nicht weitergeleitet.
• Antwortgenerierung: Für die eigentliche Antwort wird die anonymisierte Nachricht zusammen mit dem für den Lernweg nötigen Kontext und dem bisherigen Gesprächsverlauf an einen KI-Anbieter übermittelt (derzeit Anthropic, siehe Abschnitt 3), jeweils ohne Klarnamen. Wahlweise kann stattdessen ein lokal auf unserem Server betriebenes Modell genutzt werden; dann verlässt auch der Chat unser System nicht.
• Speicherung und Aufsicht: Die Chatverläufe werden auf unserem Server gespeichert (ein Verlauf je Kind und Lernwegeliste), damit das Gespräch fortlaufend ist und die zuständige Lehrkraft ihrer Aufsichtspflicht nachkommen kann. Die Kinder werden im Chat sichtbar darauf hingewiesen, dass die Lehrkraft mitlesen kann.
• Vertrauliche Förderhinweise: Die Lehrkraft kann zu einzelnen Kindern vertrauliche Hinweise hinterlegen (z. B. zur individuellen Förderung), die das Verhalten des Begleiters steuern und dem Kind nicht angezeigt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO sowie die Verarbeitung im Auftrag der Schule (siehe Abschnitt 4).

Server-Logs und Cookies

Beim Zugriff fallen technische Verbindungsdaten an (u. a. IP-Adresse, Zeitpunkt, Browserkennung) zum sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO); sie werden kurzfristig gelöscht. Wir setzen nur technisch notwendige Cookies (Anmelde-Session), keine Tracking- oder Analyse-Cookies.

E-Mail

learnly.school versendet E-Mails über Resend (siehe Abschnitt 3), insbesondere Anmeldelinks (Magic-Link), Bestätigungen bei Änderung der Anmeldeadresse sowie sicherheitsrelevante Hinweise an Lehrkräfte (etwa, wenn die Sicherheitsprüfung eine Nachricht als kritisch einstuft). Dabei wird die E-Mail-Adresse der Lehrkraft verarbeitet; die Hinweismails enthalten bewusst keinen Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

3. Hosting und Auftragsverarbeiter

• netcup GmbH (Deutschland) – Server-Hosting. Konto- und Inhaltsdaten liegen auf einem Server in Deutschland.
• Cloudflare – Auslieferung/Reverse-Proxy (verarbeitet Verbindungsdaten, u. a. IP-Adresse) und Hosting der Weboberfläche.
• Resend (USA, Zustellung über Amazon SES in der EU) – E-Mail-Versand.
• Anthropic (USA) – KI-Anbieter für die Antworten des Lernbegleiters. Übermittelt werden ausschließlich anonymisierte Chat-Inhalte (ohne Klarnamen). Die vorgeschaltete Sicherheitsprüfung läuft auf unserem eigenen Server; wird als KI-Modell ein lokal betriebenes Modell gewählt, findet insoweit keine Übermittlung an Dritte statt.

Soweit dabei eine Übermittlung in die USA erfolgt (Cloudflare, Resend), stützt sich diese auf die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Mit allen Dienstleistern bestehen bzw. werden Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen.

4. Nutzerkreis und Minderjährige

learnly.school wird von Schulen eingesetzt; es bestehen Lehrer-Konten sowie von Lehrkräften angelegte Schüler-Konten. Da dabei personenbezogene Daten Minderjähriger verarbeitet werden, erfolgt die Verarbeitung im Auftrag und unter Verantwortung der jeweiligen Schule (Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem jeweiligen Schulgesetz). Die erforderlichen Rechtsgrundlagen der Schule bzw. Einwilligungen der Erziehungsberechtigten sowie ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) werden mit der jeweiligen Schule geregelt. Eine gesonderte Elterninformation steht unter app.learnly.school/eltern bereit.

5. Speicherdauer

Konto- und Inhaltsdaten speichern wir, solange das Konto besteht. Bei Löschung des Kontos oder auf Anfrage werden die personenbezogenen Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Chatverläufe des KI-Lernbegleiters werden zusätzlich automatisch nach Ablauf einer Aufbewahrungsfrist (standardmäßig ein Jahr) sowie beim Löschen des Schüler-Kontos oder der zugehörigen Lernwegeliste gelöscht. Server-Logs werden kurzfristig gelöscht.

6. Rechte der betroffenen Personen

Betroffene Personen (Lehrkräfte sowie Schüler:innen, für Minderjährige vertreten durch die Erziehungsberechtigten bzw. über die Schule) haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (z. B. Landesbeauftragter für den Datenschutz Baden-Württemberg). Anfragen zu Schülerdaten richten Erziehungsberechtigte in der Regel an die Schule als verantwortliche Stelle (siehe Abschnitt 4).

7. Sicherheit

Die Verbindung ist per TLS verschlüsselt; der Server ist gehärtet.